Jak zrozumienie ryzyk cyberbezpieczeństwa przełożyć na gotowość operacyjną

Według badania Dell Cyber Resilience Insights dla regionu EMEA, przeprowadzonego wśród 400 decydentów IT z organizacji zatrudniających ponad 1000 pracowników, 99,8% firm deklaruje posiadanie strategii Cyber Resilience, ale tylko 30% uznaje ją za w pełni dojrzałą, ustanowioną i stale optymalizowaną.

Ta różnica dobrze pokazuje jedno z największych wyzwań współczesnego cyberbezpieczeństwa – organizacje coraz lepiej rozumieją skalę ryzyka, ale nie zawsze przekłada się to na realną gotowość operacyjną.

Bezpieczeństwo zasadą projektową całej architektury IT

W ostatnich latach rozmowa o cyberbezpieczeństwie bardzo mocno przesunęła się z poziomu samej ochron przed atakiem na poziom odporności całej organizacji. Samo pytanie „czy jesteśmy zabezpieczeni?” nie wystarcza. CTO, CISO i zespoły odpowiedzialne za bezpieczeństwo muszą dziś pytać raczej: czy wiemy, które systemy są krytyczne, czy potrafimy szybko wykryć kompromitację, czy mamy czyste kopie danych, czy regularnie testujemy odzyskiwanie i czy biznes jest w stanie wrócić do działania w akceptowalnym czasie.

To szczególnie istotne, ponieważ firmy funkcjonują dziś w coraz bardziej złożonym środowisku. Dane są rozproszone między centrum danych, chmurą, edge, urządzeniami końcowymi i środowiskami AI. Do tego dochodzą coraz większe zależności od partnerów, integratorów, dostawców usług i zewnętrznych platform.

W takim modelu cyberbezpieczeństwo nie może być osobną warstwą dodawaną na końcu projektu. Powinno być zasadą projektową całej architektury IT – od BIOS-u i urządzeń końcowych, przez sieć, storage i backup, po aplikacje, modele AI oraz procesy odzyskiwania.

Backup jako część architektury bezpieczeństwa

Jednym z najbardziej niedocenianych obszarów pozostaje odzyskiwanie danych. Według badania Dell, 74%
organizacji w regionie EMEA koncentruje się bardziej na zapobieganiu atakom, niż na przygotowaniu do odzyskiwania działania. Tymczasem doświadczenia ostatnich lat pokazują, że nawet najlepsza prewencja nie daje 100% gwarancji bezpieczeństwa. Ransomware, ataki na łańcuch dostaw, błędy konfiguracyjne czy wykorzystanie skradzionych poświadczeń sprawiają, że organizacje muszą być przygotowane na scenariusz, w którym atakujący przechodzą przez pierwszą linię obrony.

Dlatego backup nie może być traktowany jako pasywna polisa ubezpieczeniowa. Musi stać się aktywnie chronioną, monitorowaną i testowaną częścią architektury bezpieczeństwa. Jest to tym ważniejsze, że według tego samego badania Dell, 82% badanych uważa, że cyberprzestępcy coraz częściej atakują backupy podczas ataków ransomware, a 43% firm przyznaje, że ich dane backupowe nie są zabezpieczone tak dobrze, jak powinny. To oznacza, że sama kopia danych nie wystarcza. Kluczowe stają się izolacja, niezmienność, kontrola dostępu, szyfrowanie, detekcja anomalii i możliwość wskazania ostatniej czystej kopii danych.

Odzyskiwanie danych po incydencie musi być zaprojektowane, testowane i mierzone

W tym kontekście coraz większe znaczenie mają rozwiązania typu cyber vault, separacja krytycznych kopii, mechanizmy air-gapped oraz narzędzia analizujące dane pod kątem śladów kompromitacji. To obszary, w których Dell rozwija swoje portfolio ochrony danych i cyber recovery, ale istotą nie jest sam produkt. Najważniejsza jest zmiana myślenia: odzyskiwanie po incydencie musi być zaprojektowane, testowane i mierzone tak samo konsekwentnie jak ochrona środowiska produkcyjnego.

Drugim kluczowym wyzwaniem jest widoczność. Organizacje mają często wiele narzędzi bezpieczeństwa, ale nie zawsze tworzą one spójny obraz ryzyka. Według badania Dell dla EMEA, tylko 26% firm ma kompleksową platformę detekcji zagrożeń obejmującą jednocześnie sieć, primary storage oraz backup/protection storage. To poważna luka, bo atakujący nie poruszają się zgodnie z podziałem organizacyjnym między zespołami infrastruktury, backupu, sieci i security.

Sztuczna inteligencja zwiększa powierzchnię cyberataku

Coraz większe znaczenie będzie miała także sztuczna inteligencja. Z jednej strony AI zwiększa powierzchnię
ataku: przez shadow AI, nowe modele dostępu do danych, autonomiczne działania agentów AI, ale też przez ataki wymierzone bezpośrednio w modele i aplikacje AI, takie jak Prompt Injection, Jailbreak, próby przełamywania zabezpieczeń czy wyciągania danych, do których użytkownik nie powinien mieć dostępu.

Z drugiej strony AI może wzmacniać obronę, wspierając detekcję anomalii, analizę backupów, identyfikację oznak kompromitacji i automatyzację reakcji. Według naszego badania, 61% organizacji priorytetowo traktuje inwestycje w detekcję zagrożeń opartą na AI/ML, a 40% szeroko wykorzystuje AI/ML do skanowania danych backupowych pod kątem oznak kompromitacji.

Nie mniej ważne jest regularne testowanie. Cyber Resilience nie powinna istnieć wyłącznie w dokumentach, procedurach i prezentacjach dla zarządu. Aż 51% organizacji testujących symulowane cyberataki co najmniej raz w miesiącu skutecznie odzyskało działanie po ćwiczeniu lub incydencie, podczas gdy wśród firm testujących rzadziej było to 32%. To pokazuje, że odporność jest praktyką operacyjną, a nie deklaracją.

Cyber Resilience to zdolność działania mimo incydentu

Dla liderów technologicznych najważniejszy wniosek jest prosty: cyberbezpieczeństwo wchodzi dziś w etap, w którym liczy się nie tylko ochrona, ale zdolność do działania mimo incydentu. Organizacje powinny budować architekturę, która ogranicza ryzyko, wykrywa kompromitację możliwie wcześnie, chroni dane w całym cyklu życia i pozwala odtworzyć krytyczne systemy z zaufanych, czystych kopii. W erze AI, rosnącej zależności od danych i coraz bardziej złożonych środowisk IT, właśnie ta zdolność będzie odróżniać firmy, które mają strategię cyberbezpieczeństwa, od tych, które rzeczywiście są cyberodporne.

Michał Włodarczyk, System Engineer, Dell Technologies Polska